用途：审计并修复 Web 服务的 CORS 配置，重点处理跨域请求、Access-Control 响应头、通配符来源与预检（OPTIONS）请求。
主要能力：识别并纠正“凭据 + 通配符”的危险组合；要求对 Origin 做显式白名单校验而非直接反射；强调反射动态 Origin 时必须设置 Vary: Origin，避免 CDN/代理缓存串用；检查 CORS 中间件是否在鉴权中间件之前执行，防止预检返回 401；检查生产环境白名单是否残留 localhost；子域匹配应使用精确 Set 或锚定正则，而非 endsWith；预检需返回 204 并覆盖全部自定义请求头，可设置 Access-Control-Max-Age 减少预检量；通配符仅用于真正公开、无凭据的路由。
使用方式：资料给出 Node/Express 手写中间件与 cors npm 包的配置示例，以及 Python/FastAPI 的 CORSMiddleware 配置示例，并附审计清单。示例中白名单使用 Set 精确匹配，凭据开启时设置 credentials: true，方法限定为 GET、POST、PUT、PATCH、DELETE，允许头为 Content-Type、Authorization，maxAge 为 86400。
适用场景：需要为浏览器前端提供跨域 API 的服务端配置审查与修复，尤其是同时存在公开路由与需凭据路由的混合 API。
限制：CORS 是浏览器强制机制，不能保护 API 免受 curl 或服务端到服务端请求；不应将 Origin 头用作服务端鉴权，服务端鉴权应使用 API 密钥或 mTLS。具体安装命令、收费与平台信息暂未提供。